Борьба с компьютерными вирусами

Министерство  транспорта российской федерации

   Санкт-Петербургский  Государственный Университет Водных Коммуникаций

Котласский  филиал

Реферат 
 

На тему:

“Борьба с компьютерными вирусами” 
 
 

Выполнила:

 Принял:

                                                                     Котлас

                                                                       2006

Оглавление:

Ведение………………………………………………………………………….………...3

1. Происхождение компьютерных вирусов…………………………………….…….4

2. История происхождения вируса…………………………………….……………6                                                                     3. Места заражения вирусом…………………………………………….……………..7

4. Признаки проникновения  вирусов…………………………………….…………..9

5. Классификация вирусов……………………………………………….…………...10

6. Классификация антивирусных программ…………………………………….…13

7. Меры защиты от вирусов…………………………………………………….…….14

8. Некоторые антивирусные программы……………………………………….…..19

Заключение……………………………………………………………………………..24

9. Литература…………………………………………………………………………...25 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 

Введение

     Вряд  ли стоит напоминать, что компьютеры стали настоящими помощниками человека и без них уже не может обойтись ни коммерческая фирма, ни государственная организация. Однако в связи с этим особенно обострилась проблема защиты информации.

     Вирусы, получившие широкое распространение  в компьютерной технике, взбудоражили весь мир. Многие пользователи компьютеров  обеспокоены слухами о том, что с помощью компьютерных вирусов злоумышленники взламывают сети, грабят банки, крадут интеллектуальную собственность...

     Сегодня массовое применение персональных компьютеров, к сожалению, оказалось связанным  с появлением самовоспроизводящихся  программ-вирусов, препятствующих нормальной работе компьютера, разрушающих файловую структуру дисков и наносящих ущерб хранимой в компьютере информации.

     Все чаще в средствах массовой информации появляются сообщения о различного рода пиратских проделках компьютерных хулиганов, о появлении все более совершенных саморазмножающихся программ. Совсем недавно заражение вирусом текстовых файлов считалось абсурдом - сейчас этим уже никого не удивишь. Достаточно вспомнить появление "первой ласточки", наделавшей много шума - вируса WinWord. Concept, поражающего документы в формате текстового процессора Microsoft Word for Windows 6.0 и 7.0. Несмотря на принятые во многих странах законы о борьбе с компьютерными преступлениями и разработку специальных программных средств защиты от вирусов, количество новых программных вирусов постоянно растет. Это требует от пользователя персонального компьютера знаний о природе вирусов, способах заражения вирусами и защиты от них.  
 
 
 

Происхождение компьютерных вирусов. 

Сейчас  применяются персональные компьютеры, в которых пользователь имеет  свободный доступ ко всем ресурсам машины. Именно это открыло возможность для опасности, которая получила название компьютерного вируса.

  Что такое компьютерный вирус?

Компьютерный  вирус - это специально написанная небольшая  по размерам программа, которая может "приписывать" себя  к другим  программам (т.е. "заражать" их), а  также выполнять нежелательные различные действия  на компьютере. Формальное определение этого понятия до сих пор не придумано, и есть серьезные сомнения, что оно вообще может быть дано. Многочисленные попытки дать «современное» определение вируса не привели к успеху. Прежде всего, вирус - это программа. Такое простое утверждение само по себе способно развеять множество легенд о необыкновенных возможностях компьютерных вирусов. Вирус может перевернуть изображение на вашем мониторе, но не может перевернуть сам монитор. Вирус - программа, обладающая способностью к самовоспроизведению. Такая способность является единственным средством, присущим всем типам вирусов. Но не только вирусы способны к самовоспроизведению. Любая операционная система и еще множество программ способны создавать собственные копии. Копии же вируса не только не обязаны полностью совпадать с оригиналом, но, и могут вообще с ним не совпадать. Вирус не может существовать в «полной изоляции»: сегодня нельзя представить себе вирус, который не использует код других программ, информацию о файловой структуре или даже просто имена других программ. Причина понятна: вирус должен каким-нибудь способом обеспечить передачу себе управления. Многие разновидности вирусов  устроены так, что при запуске зараженной  программы вирус остается резидентно, т.е. до перезагрузки DOS, в памяти компьютера и время от времени заражает программы и выполняет вредные действия на компьютере. Обязательным свойством компьютерного вируса является возможность создавать свои дубликаты (не обязательно совпадающие с оригиналом) и внедрять их в вычислительные сети и/или файлы, системные области компьютера и прочие выполняемые объекты. При этом дубликаты сохраняют способность к дальнейшему распространению. Следует отметить, что это условие не является достаточным (т.е. окончательным), поскольку на пример, операционная система MS-DOS удовлетворяет данному свойству, но вирусом не является. Компьютерный вирус может испортить, т.е. изменить ненадлежащим образом, любой файл на имеющих в компьютере дисках. Но некоторые виды файлов вирус может "заразить". Это означает, что вирус  может "внедриться" в эти файлы, т.е. изменить их так, что они будут содержать  вирус, который при некоторых обстоятельствах может начать свою работу. Следует заметить, что тексты  программ и документов, информационные файлы без данных, таблицы табличных  процессоров и другие аналогичные файлы  не могут быть заражены вирусом, он может их только испортить.

Программа, внутри  которой находится  вирус, называется "зараженной". Когда такая программа начинает работу, то сначала управление  получает вирус. Вирус находит и "заражает" другие программы, а также выполняет какие-нибудь вредные действия (например, портит файлы или таблицу размещения  файлов на диске, "засоряет"  оперативную память и т.д.). Для маскировки  вируса действия  по заражению других программ и нанесению вреда могут выполняться не  всегда, а, скажем, при выполнении  определенных условий. После того как вирус выполнит нужные  ему действия, он  передает управление той программе, в которой он находится, и она работает так же, как обычно. Тем самым внешне работа зараженной программы выглядит так же, как и незараженной. 
 
 
 
 
 
 

История происхождения вируса. 

    История компьютерной вирусологии представляется сегодня постоянной «гонкой за лидером», причем, не смотря на всю мощь современных  антивирусных программ, лидерами являются именно вирусы. Среди тысяч вирусов  лишь несколько десятков являются оригинальными разработками, использующими действительно принципиально новые идеи. Все остальные - «вариации на тему». Но каждая оригинальная разработка заставляет создателей антивирусов приспосабливаться к новым условиям, догонять вирусную технологию.

    Антивирусные программы развивались параллельно с эволюцией вирусов. По мере того как появлялись новые технологии создания вирусов, усложнялся и математический аппарат, который использовался в разработке антивирусов.

    Первые  антивирусные алгоритмы строились  на основе сравнения с эталоном. Речь идет о программах, в которых вирус определяется классическим ядром по некоторой маске. Смысл алгоритма заключается в использовании статистических методов. Маска должна быть, с одной стороны, маленькой, чтобы объем файла был приемлемых размеров, а с другой – достаточно большой, чтобы избежать ложных срабатываний (когда “свой” воспринимается как “чужой”, и наоборот).

    Первые  антивирусные программы, построенные  по этому принципу (так называемые сканеры – полифаги), знали некоторое  количество вирусов и умели их лечить. Создавались эти программы следующим образом: разработчик, получив код вируса (код вируса поначалу был статичен), составлял по этому коду уникальную маску (последовательность 10 – 15 байт) и вносил ее в базу данных антивирусной программы. Антивирусная программа сканировала последовательность байтов, делала заключение о том, что файл инфицирован. Данная последовательность (сигнатура) выбиралась таким образом, чтобы она была уникальной и не встречалась в обычном наборе данных.

    Описанные подходы использовались большинством антивирусных программ вплоть до середины 90 – х годов, когда появились  первые полиморфные вирусы, которые  изменяли свое тело по непредсказуемым  заранее алгоритмам. Тогда сигнатурный  метод был дополнен так называемым эмулятором процессора и полиморфные вирусы, не имеющие в явном виде постоянной сигнатуры.

Причины появления и распространения  компьютерных вирусов, с одной стороны, скрываются в психологии человеческой личности и ее теневых сторонах (зависти, мести, тщеславии непризнанных творцов, невозможности конструктивно применить свои способности), с другой стороны, обусловлены отсутствием аппаратных средств защиты и противодействия со стороны операционной системы персонального компьютера. 

Места заражения вирусом. 

Каждая  конкретная разновидность вируса может  заражать только один или два типа файлов. Чаще всего встречаются вирусы, заражающие исполнимые файлы. Некоторые  вирусы заражают и файлы, и загрузочные  области дисков. Вирусы, заражающие  драйверы устройств, встречаются крайне редко, обычно такие вирусы  умеют заражать  и исполнимые файлы. Вирус может проникнуть в систему одним из нескольких возможных путей: дискета, CD-ROM производителя ПО, сетевой интерфейс или модемное соединение, глобальная сеть Internet при получении электронной почты. Исторически дискета - это наиболее распространенный носитель вирусов, главным образом из-за того, что они использовались для переноса информации с одного компьютера на другой. Заразить дискету гораздо проще. На нее вирус может попасть, если вы просто вставили дискету в дисковод зараженного компьютера и, например, прочитали ее оглавление.

В последнее  время получили распространение  вирусы нового типа - вирусы, имеющие  файловую  систему на диске. Эти  вирусы обычно называются  DIR. Такие вирусы прячут свое тело в некоторый участок диска (обычно - в последний кластер диска) и помечают его в таблице размещения файлов (FAT) как конец файла.

Однако  этим пути проникновения вирусов  в систему далеко не исчерпываются. У той простоты, с которой Интернет позволяет обмениваться информацией, есть и обратная сторона: из-за нее Интернет стал благоприятной средой для распространения компьютерных вирусов и других вредоносных программ. Конечно, далеко не каждая программа или документ, скаченные из Интернета или присланные Вам по электронной почте, содержат в себе вирусы. Дорожащие репутацией операторы досок объявлений и системные операторы интерактивных служб производят сканирование новых файлов на наличие вирусов, прежде чем сделать их доступными публике, однако никогда нельзя быть уверенным, что полученные файлы проверены.  Каждому, кто работает в Интернете, совершенно необходима хорошая антивирусная защита.

Но в  первую очередь, это касается тенденции  приобретения вирусами функции распространения по электронной почте. Согласно статистике службы технической поддержки "Лаборатории Касперского", около 85% всех зарегистрированных случаев заражения были вызваны проникновением вирусов именно при помощи этого источника. Таким образом, по сравнению с 1999 г., рост числа подобных инцидентов составил около 70%.

Переключение  внимания создателей вирусов на электронную  почту вполне закономерно. Как показывает практика, больше всего вредоносных  программ создается для тех операционных систем, приложений, технологий передачи данных, которые имеют наибольшую популярность. Сегодня электронная почта является де-факто стандартом как делового, так и неформального общения. Сотни миллионов людей по всему миру не представляют нормального бизнеса без этого способа коммуникации с партнерами. Это и предопределило ориентацию создателей вирусов на электронную почту.

Признаки  проникновения вирусов. 

При заражении  компьютера вирусом важно его  обнаружить. Для этого следует  знать об основных признаках проявления вирусов. К ним можно отнести следующие:

1.прекращение  работы или неправильная работа  ранее успешно функционировавших  программ;

2.медленная  работа компьютера;

3.невозможность  загрузки операционной системы;

4.исчезновение  файлов и каталогов или искажение их содержимого;

5.изменение  даты и времени модификации  файлов;

6.изменение  размеров файлов;

7.неожиданное  значительное увеличение количества  файлов на диске;

8.существенное  уменьшение размера свободной  оперативной памяти;

9.вывод  на экран непредусмотренных сообщений или изображений;

10.подача  непредусмотренных звуковых сигналов;

11.частые  зависания и сбои в работе  компьютера.

Следует отметить, что вышеперечисленные  явления необязательно вызываются присутствием вируса, а могут быть следствием других причин. Поэтому всегда затруднена правильная диагностика состояния компьютера.

Чтобы предотвратить свое обнаружение, некоторые вирусы применяют довольно хитрые приемы маскировки. Я  расскажу о двух из них: "невидимых" и самомодифицирующихся вирусах.

"НЕВИДИМЫЕ"  вирусы.  Многие  резидентные  вирусы  (и файловые, и загрузочные) предотвращают свое обнаружение тем, что  перехватывают обращения  DOS (и тем самым прикладных программ) к зараженным файлам и областям диска и выдают их в исходном (незараженном) виде. Разумеется, этот  эффект наблюдается  только на  зараженном компьютере - на "чистом" компьютере  изменения  в файлах и  загрузочных областях диска можно легко обнаружить.

САМОМОДИФИЦИРУЮЩИЕСЯ  вирусы. Другой способ, применяемый вирусами  для того, чтобы укрыться от  обнаружения, - модификация своего тела. Многие  вирусы хранят большую часть своего тела в закодированном виде, чтобы с помощью  дизассемблеров нельзя было разобраться в механизме их работы. Самомодифицирующиеся вирусы используют этот прием и часто меняют параметры этой кодировки, а, кроме того, изменяют и свою стартовую часть, которая служит для раскодировки остальных команд  вируса. Таким образом, в теле подобного вируса не имеется ни одной постоянной цепочки байтов, по которой можно было бы идентифицировать  вирус. Это, естественно, затрудняет нахождение таких вирусов программами-детекторами. 
 

                                           Классификация вирусов. 

     В настоящее время известно более 5000 программных вирусов, их можно  классифицировать по  следующим признакам:

1. среде обитания
2. способу заражения среды обитания
3. воздействию
4. особенностям алгоритма

В зависимости  от среды обитания вирусы можно разделить на сетевые, файловые, загрузочные и файлово-загрузочные. Сетевые вирусы распространяются по различным компьютерным сетям. Файловые вирусы внедряются главным образом в исполняемые модули, т. е. В файлы, имеющие расширения  COM  и EXE. Файловые вирусы могут внедряться и в другие типы файлов, но, как правило, записанные в таких файлах, они никогда не получают управление и, следовательно, теряют способность к размножению. Загрузочные вирусы внедряются в загрузочный сектор диска (Boot-сектор) или в сектор, содержащий программу загрузки системного диска (Master Boot Re-cord).                       Файлово-загрузочные вирусы заражают как файлы, так и загрузочные сектора дисков.

     По  способу заражения вирусы делятся на резидентные и нерезидентные. Резидентный вирус при заражении (инфицировании) компьютера оставляет в оперативной памяти свою резидентную часть, которая потом перехватывает обращение операционной системы к объектам заражения (файлам, загрузочным секторам дисков и т. п.) и внедряется в них. Резидентные вирусы находятся в памяти и являются активными вплоть до выключения или перезагрузки компьютера. Нерезидентные вирусы не заражают память компьютера и являются активными ограниченное время.

     По  степени воздействия вирусы можно разделить на следующие виды:

1. неопасные, не мешающие работе компьютера, но уменьшающие объем свободной оперативной памяти и памяти на дисках, действия таких вирусов проявляются в каких-либо графических  или звуковых эффектах
2. опасные вирусы, которые могут привести к различным нарушениям в работе компьютера
3. очень опасные, воздействие которых может привести к потере программ, уничтожению данных, стиранию информации в системных областях диска.

      По  особенностям алгоритмов выделяют следующие группы вирусов:

1. "Компаньоны - спутники" - вирусы, не изменяющие файлы. Алгоритм работы этих вирусов состоит в том, что они создают для EXE файлов файлы спутники, имеющие то же самое имя, но с расширением .Com или Bat. Вирус записывается в Com или Bat-файл и никак не изменяет EXE-файл. При активации такого файла операционная система первым обнаружит и выполнит Bat-файл или COM-файл, т.е. вирус, который затем уже запустит и EXE-файл.
2. "Черви - репликаторы" - вирусы, которые распространяются в компьютерной сети и, так же как и компаньон, вирусы, не изменяют файлы или сектора на дисках. Они проникают в память компьютера из сети, вычисляют сетевые адреса других компьютеров и рассылают по этим адресам свои копии. Такие вирусы иногда создают файлы, но могут вообще не обращаться к ресурсам компьютеров (кроме оперативной памяти).
3. "Паразитические" - все вирусы, которые при распространении своих копий изменяют содержимое дисковых секторов или файлов. В эту группу относятся вирусы, которые не являются "червями" и "спутниками".
4. "Студенческие" - крайне примитивные вирусы, часто нерезидентные и содержащие большое число ошибок, именно по этой причине они могут быть любой степени опасности, если их быстро не удалить из компьютера. 
   
5. "Стелс невидимки" вирусы, представляющие собой совершенные программы, которые перехватывают обращения операционной системы к пораженным файлам или секторам дисков и "подставляют" вместо себя незараженные участки информации. Такие вирусы используют оригинальные алгоритмы, позволяющие "обманывать" резидентные АВП.
6. "Полиморфик - призраки -  мутанты" вирусы (само шифрующиеся) достаточно трудно обнаруживаемые вирусы, не имеющие ни одного постоянного участка кода. В большинстве случаев два образца одного и того же полиморфик вируса не имеют ни одного совпадения.
7. "Троянские кони" -  вирусы, которые могут маскироваться под полезную программу и выполнять разрушительные действия при каждой активации. Они могут размножаться без внедрения в другие файлы, а более совершенные из них, активируются при определенных ситуациях или событиях в ЭВМ или сети.
8. "Макро" вирусы этого семейства используют возможности макроязыков в системах обработки данных (текстовые редакторы, электронные таблицы и т.д.). В настоящее время наиболее распространены макро вирусы, заражающие документы редакторов Microsoft  Word ,  Excel,  Access. 
   Каким бы не был вирус, пользователю необходимо знать  основные  методы защиты от компьютерных вирусов.

Антивирусные  программы.

Классификация антивирусных программ.

Классифицируются  антивирусные программы  на чистые антивирусы и антивирусы двойного назначения.

Чистые  антивирусы отличаются наличием антивирусного ядра, которое выполняет функцию сканирования по образцам. Принципиальным в этом случае является то, что возможно лечение, если известен вирус. Чистые антивирусы, в свою очередь, по типу доступа к файлу подразделяется на две категории: осуществляющие контроль по доступу (on access) или по требованию пользователя (on demand). Обычно on access – продукты называют мониторами, а on demand – продукты – сканерами.

On demand – продукт работает по следующей схеме: пользователь хочет что – либо проверить и выдает запрос (demand), после чего осуществляется проверка. On access – продукт – это резидентная программа, которая отслеживает доступ и в момент доступа осуществляет проверку.

Кроме того, антивирусные программы, так же как и вирусы, можно разделить в зависимости от платформы, внутри которой данный антивирус работает. В этом смысле наряду с Windows или Linux к платформам могут быть отнесены Microsoft Exchange Server, Microsoft Office, Lotus Notes.

Программы двойного назначения – это программы, используемые как  в антивирусах, так  и в ПО, которое  антивирусом не является. Разновидностью программ двойного назначения являются поведенческие блокираторы, которые анализируют поведение других программ и при обнаружении подозрительных действий блокируют их. От классического антивируса с антивирусным ядром, распознающего и лечащего от вирусов, которые анализировались в лаборатории и, которым был прописан алгоритм лечения, поведенческие блокираторы отличаются тем, что лечить они не умеют, поскольку ничего о них не знают. Данное свойство блокираторов позволяет им работать с любыми вирусами, в том числе и с неизвестными. Это сегодня приобретает особую актуальность, поскольку распространители вирусов и антивирусов используют одни и те же каналы передачи данных, то есть Интернет. При этом антивирусной компании всегда нужно время на то, чтобы получить сам вирус, проанализировать его и написать соответствующие лечебные модули. Программы из группы двойного назначения как раз и позволяют блокировать распространение вируса до того момента, пока компания не напишет лечебный модуль. 

Меры  защиты от вирусов.

Для защиты от вирусов можно использовать:

1. общие  средства защиты информации, которые  полезны также и как страховка  от физической порчи дисков, неправильно  работающих программ или ошибочных действий пользователя;

2.профилактические  меры, позволяющие уменьшить вероятность заражения вирусом;

3.специализированные  программы для защиты от вирусов.

Общие средства защиты информации полезны  не только для защиты от вирусов. Имеются две основные разновидности этих средств:

1. копирование  информации - создание копий  файлов  и  системных  областей дисков;

2. разграничение  доступа  предотвращает несанкционированное использование информации, в частности, защиту от изменений программ и данных  вирусами, неправильно работающими программами и ошибочными действиями пользователей.

Для обнаружения, удаления и защиты от компьютерных вирусов разработано несколько видов специальных программ, которые позволяют обнаруживать и уничтожать вирусы. Такие программы называются антивирусными. Различают следующие виды антивирусных программ:

1. программы-детекторы;
2. программы-доктора или фаги;
3. программы-ревизоры;
4. программы-фильтры;
5. программы-вакцины или иммунизаторы.

Программы-детекторы осуществляют поиск характерной для конкретного вируса сигнатуры в оперативной памяти и в файлах и при обнаружении выдают соответствующее сообщение. Недостатком таких антивирусных программ является то, что они могут находить только те вирусы, которые известны разработчикам таких программ. 

Программы-доктора  или фаги, а также программы-вакцины не только находят зараженные вирусами файлы, но и «лечат» их, т.е. удаляют из файла тело программы-вируса, возвращая файлы в исходное состояние. В начале своей работы фаги ищут вирусы в оперативной памяти, уничтожая их, и только затем переходят к «лечению» файлов. Среди фагов выделяют полифаги, т.е. программы-доктора, предназначенные для поиска и уничтожения большого количества вирусов. Наиболее известные из них: AVP, Aids test, Scan, Norton Antivirus, Doctor Web.

Учитывая, что постоянно появляются новые  вирусы, программы-детекторы и программы-доктора  быстро устаревают, и требуется регулярное обновление версий. 

Программы-ревизоры относятся к самым надежным средствам защиты от вирусов. Ревизоры запоминают исходное состояние программ, каталогов и системных областей диска тогда, когда компьютер не заражен вирусом, а затем периодически или по желанию пользователя сравнивают текущее состояние с исходным. Обнаруженные изменения выводятся на экран монитора. Как правило, сравнение состояний производят сразу после загрузки операционной системы. При сравнении проверяются длина файла, код циклического контроля  (контрольная сумма файла), дата и время модификации, другие параметры. Программы-ревизоры имеют достаточно развитые алгоритмы, обнаруживают стелс-вирусы и могут даже очистить изменения версии проверяемой программы от изменений, внесенных вирусом. К числу программ-ревизоров относится широко распространенная в России программа Adinf. 

Программы-фильтры  или «сторожа» представляют собой небольшие резидентные программы, предназначенные для обнаружения подозрительных действий при работе компьютера, характерных для вирусов. Такими действиями могут являться:

1. попытки коррекции файлов с расширениями COM, EXE;
2. изменение атрибутов файла;
3. прямая запись на диск по абсолютному адресу;
4. запись в загрузочные сектора диска;
5. загрузка резидентной программы.

При попытке  какой-либо программы произвести указанные  действия «сторож» посылает пользователю сообщение и предлагает запретить  или разрешить соответствующее действие. Программы-фильтры весьма полезны, так как способны обнаружить вирус на самой ранней стадии его существования до размножения. Однако, они не «лечат» файлы и диски. Для уничтожения вирусов требуется применить другие программы, например фаги. 

Вакцины или иммунизаторы - это резидентные программы, предотвращающие заражение файлов. Вакцины применяют, если отсутствуют программы-доктора, «лечащие» этот вирус. Вакцинация возможна только от известных вирусов. Вакцина модифицирует программу или диск таким образом, чтобы это не отражалось на их работе, а вирус будет воспринимать их зараженными и поэтому не внедрится. В настоящее время программы-вакцины имеют ограниченное применение.

Своевременное обнаружение зараженных вирусами файлов и дисков, полное уничтожение обнаруженных вирусов на каждом компьютере позволяют  избежать распространения вирусной эпидемии на другие компьютеры.